次世代APIデータ保護のためにMicrosoft 365 Outlookを構成する

Outlook（商用版およびGCC版）を次世代APIデータ保護用に設定するには、以下の手順に従ってください。

前提条件

Microsoft 365 Outlook (商用版およびGCC版) を次世代APIデータ保護用に構成する前に、前提条件を確認してください。

• Microsoft Office 365 Outlookのライセンスについては、こちらをご覧ください。

• Netskopeは、データセンター間でMicrosoftテナントを移行する際に、Microsoft 365アプリをサポートしていません。Netskopeへのアクセス権を付与する前に、移行が完全に完了していることを確認してください。Microsoft テナントの移行に関する詳細については、以下を参照してください。

  • 影響を受ける機能

  • 移住

• Netskopeへのアクセス権限を付与するには、グローバル管理者アカウントが必要です。権限付与後、このアカウントを削除するか、ダウングレードすることができます。

  Azure/Office 365におけるアクセス許可の仕組みは、Netskopeが特定のアクションを実行するために、管理者がNetskopeに十分な権限を付与する必要があるというものです。Netskopeアプリはグローバル管理者権限を取得しないことに注意してください。Netskopeが要求する範囲の権限のみを取得します。

• Microsoft 365 管理センターで監査ログを有効にする必要があります。監査ログを有効にするには、以下の手順に従ってください。

  1. https://purview.microsoft.com/にログインします。左側のナビゲーションでSolutions > Auditをクリックします。

     組織で監査が有効になっていない場合、ユーザーと管理者のアクティビティの記録を開始するよう促すバナーが表示されます。

     

  2. Start recording user and admin activityバナーをクリックしてください。

     変更が反映されるまで最大60分かかる場合があります。有効化後、最初のアプリケーションイベントの内容がSkope ITに表示されるまで最大12時間かかる場合があります。

• SaaS環境に、内部ドメインに属するゲストユーザーまたは外部ユーザーが存在する場合、Netskopeが露出を正確に分類できるように、適切な内部ドメインを設定する必要があります。内部ドメインを設定するには、この記事の手順に従ってください。

NetskopeがOutlookアカウントにアクセスできるように設定する

NetskopeがOutlookアカウントにアクセスすることを承認するには、以下の手順に従ってください。

1. NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。

2. Appsの下でOutlookを選択し、 Setup CASB API Instanceをクリックします。

   Setup Instanceウィンドウが開きます。

3. Under Office 365 Environment, select either Commercial or GCC.

   GCCおよびGCC Highは、米国連邦政府、州政府、地方自治体のお客様向けに設計されています。

4. Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メール アドレスを入力します。 この手順は任意です。

5. Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。

6. Grant Accessをクリックしてください。

   Microsoft Loginウィンドウが開きます。

7. グローバル管理者ユーザー名とパスワードを入力してください。

8. Consent on behalf of your organizationチェックを外し、 Accept権限を有効にしてください。

   

   許可申請の正当性

   Netskopeに必要な権限	請求額	デスクリプション	目的	許可されない場合のトレードオフ
   サインインしてユーザープロフィールを読む	User.Read	– ユーザーがアプリケーションにサインインできるようにし、 – アプリケーションがサインインしたユーザーのプロファイルを閲覧できるようにし、 – アプリケーションがサインインしたユーザーの基本会社情報を閲覧できるように許可します。	ログインを許可し、ログインしているユーザーに関する情報を取得します。	サインインワークフローに必要です。
   すべてのユーザーのプロフィール全文を読む	User.Read.All	アプリケーションが組織のディレクトリ内のユーザー プロファイルを読むことを許可します。	Netskope設定された Outlook インスタンス内のユーザー プロファイル データを読むことを許可します。	ユーザープロファイル情報を取得できず、その後のユーザー露出計算に影響します。
   すべてのメールボックスのメールを読む	Mail.Read	このアプリケーションは、Outlookインスタンス内のすべてのメールボックス内のメールを読み取ることができます。	Netskopeコンテンツ スキャンを実行するために、設定された Outlook インスタンスで送信電子メールを監視できるようにします。	インスタンス内で送信電子メールのコンテンツスキャンを実行できません。
   ディレクトリデータを読む	Directory.Read.All	アプリケーションがユーザー、グループ、アプリケーションなどの組織のディレクトリ内のデータを読むことを許可します。	Netskope設定された Outlook インスタンス内のユーザー、グループ、アプリのデータを読むことを許可します。	ユーザー/グループ関連の情報を取得できず、その後の在庫および曝露量の計算に影響します。
   組織の活動データを読む	ActivityFeed.Read	アプリケーションが、Office 365 Management Activity API を介して、Office 365 および Microsoft Entra ID のアクティビティ ログから、ユーザー、管理者、システム、ポリシーのアクションとイベントに関する情報を取得できるようにします。	NetskopeがOffice 365およびEntra IDのアクティビティログから監査ログとイベントを取得できるようにします。	Skope ITのアプリケーションイベントやその他のUEBA機能を通じて可視性を提供することはできません。

   Netskope CASB APIアプリは、Outlookアプリへのアクセスを許可すると、追加の権限が付与された状態でAzure ADにインストールされます。

9. 権限を承認すると、処理完了ページにリダイレクトされます。Closeをクリックしてください。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。

権限付与後、グローバル管理者アカウントを削除するか、権限をダウングレードすることができます。詳細については、 「グローバル管理者アカウントの削除またはダウングレード」を参照してください。

次に、次世代APIデータ保護Inventoryページを表示して、Microsoft 365 Outlookアカウント上のさまざまなエンティティに関する詳細な情報を取得できます。 Inventoryページの詳細については、「次世代APIデータ保護インベントリ」をご覧ください。

Skope ITでは、監査イベントや標準的なユーザー行動分析アラートを受信できます。詳細については、次世代 API データ保護スコープ IT イベントをご覧ください。

次に、次世代 API データ保護ポリシーを構成する必要があります。 これを行うには、 「次世代 API データ保護ポリシー ウィザード」を参照してください。